- Anzeige -


Sie sind hier: Startseite » Fachartikel » Grundlagen

Datenschutz und Outsourcing


Geändertes Datenschutzrecht erfordert neue Verträge mit Datenverarbeitern
Betroffen sind auch Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung


Von Rechtsanwalt Dr. Thomas Helbing

(15.04.10) - Datenverarbeitungverträge müssen bestimmte Mindestregelungen beinhalten, so will es das neue Bundesdatenschutzgesetz. So müssen zum Bespiel Klauseln aufgenommen werden über die Benachrichtigung bei Datenschutzverstößen, Prüfrechte, die Einschaltung von Unterauftragnehmern sowie eine Reihe weiterer Punkte. Betroffen sind zum Beispiel Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung oder Verträge mit Unternehmen, die Personalinformationsssyteme anbieten, auch wenn es sich nur um Tochtergesellschaften oder die Konzernmutter handelt.

Genügen Verträge den Anforderungen nicht, drohen Bußgelder von bis zu 50.000 Euro. Bereits bestehende Vereinbarungen sollten überprüft und Unternehmensrichtlinien erarbeitet werden, die sicherstellen, dass zukünftige Verträge den neuen Regeln entsprechen.

Welche Verträge sind betroffen?
Alle Verträge, bei denen Dritte Daten für Ihr Unternehmen speichern, nutzen oder anderweitig verarbeiten, müssen den neuen Anforderungen genügen, insbesondere, wenn diese nach dem 1. September 2009 geschlossen, erneuert oder angepasst wurden. Diese so genannten "Auftragsdatenverarbeitungs-Verhältnisse" liegen immer dann vor, wenn ein Dritter für Ihr Unternehmen im Auftrag personenbezogene Daten verarbeitet oder darauf Zugriff hat.

Personenbezogene Daten sind sämtliche Informationen, die einer bestimmten oder bestimmbaren Person zugeordnet werden können, zum Beispiel Lieferadressen oder bisherige Käufe eines Kunden, Kontaktdaten von Geschäftspartnern oder Mitarbeiterdaten wie Name, Stellenbeschreibung, Lebenslauf oder Gehalt.

Die neuen Regeln betreffen auch konzerninterne Sachverhalte, zum Beispiel wenn eine Muttergesellschaft eine zentrale Kundendatenbank oder ein HR-System betreibt, in dem auch Kundendaten oder Mitarbeiterdaten der Tochtergesellschaften gespeichert sind.

Beispiele für möglicherweise betroffene Vertragsverhältnisse sind:
>> Verträge über die Auslagerung der Lohnbuchhaltung und Gehaltsabrechnung
>> Verträge mit Archivierungs-Dienstleistern
>> Verträge mit Call Centern oder Direktmarketing-Agenturen (Mailings, Newsletter-Versand, Lettershops)
>> Verträge mit Unternehmen, die HR-Systeme oder Kundenverwaltungs-Systeme (CRM) anbieten
>> Verträge mit externen Prüfern und Wartungsfirmen
>> andere Verträge über die zur Verfügungstellung von IT-Ressourcen (z.B. Application Service Providing (ASP), Cloud Computing, Software-as-a-Service (SaaS), Website-Hosting, Online-Speicherplatz).

Von der Datenverarbeitung im Auftrag sind die Fälle zu unterscheiden, bei denen ein Unternehmen nicht nur die Datenverarbeitung, sondern eine ganze Aufgabe oder Funktion ausgelagert hat, z.B. die Kundenbetreuung. Für diese "Funktionsübertragungen" gelten andere und sogar strengere datenschutzrechtliche Anforderungen. Die Abgrenzung zwischen Auftragsdatenverarbeitung und Funktionsübertragung kann äußert schwierig sein und nur anhand der konkreten Umstände des Einzelfalles erfolgen.

Was verlangt das neue Recht?
Bereits bis zum 31. August 2009 galten für Auftragsdatenverarbeitungs-Verträge bestimmte Mindestandforderungen. Diese wurden jetzt konkretisiert und ausgeweitet.

Seit dem 1. September 2009 müssen die Parteien in einem schriftlichen Vertrag insbesondere Folgendes festlegen:

>> Umgang, Art und Zweck der Erhebung, Nutzung und Verarbeitung von Daten durch den Auftragnehmer
>> den Umfang der Weisungsbefugnisse des Auftraggebers gegenüber dem Auftragnehmer
>> die vom Auftragnehmer zu treffenden technischen und organisatorischen Maßnahmen zur Datensicherheit
>> die Korrektur, Löschung und Sperrung von Daten durch den Auftragnehmer
>> die Befugnis des Auftragnehmers, die Datenverarbeitung an Unterauftragnehmer auszulagern
>> die Pflicht des Auftragnehmers, einen Datenschutzbeauftragten zu bestellen und seine Mitarbeiter schriftlich auf das Datengeheimnis zu verpflichten
>> Kontrollrechte des Auftraggebers
>> Verpflichtungen des Auftragnehmers, dem Auftraggeber Datenschutzverstöße mitzuteilen, und
>> die Rückgabe und Löschung der Daten beim Auftragnehmer am Ende des Auftrags

Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung durch den Auftragnehmer voll verantwortlich sowie dafür, dass die genannten zwingenden vertraglichen Vereinbarungen getroffen wurden. Darüber hinaus stellt das Bundesdatenschutzgesetz klar, dass der Auftraggeber den Auftragnehmer sorgfältig im Hinblick auf die getroffenen technischen und organisatorischen Maßnahmen zur Datensicherheit auszusuchen hat. Auftraggeber müssen ihre Auftragnehmer regelmäßig kontrollieren und das Ergebnis der Kontrollen dokumentieren.

Hat der Auftragnehmer seinen Sitz außerhalb des Europäischen Wirtschaftsraumes (EWR) müssen zusätzliche Maßnahmen getroffen werden, um ein "angemessenes Datenschutzniveau" beim Auftragnehmer sicherzustellen. Hierfür verwenden viele Unternehmen die "EU Standardvertragsklauseln für die Übermittlung von personenbezogenen Daten an Datenverarbeiter in Drittländern".

Leider decken sich diese nicht voll mit den neuen strengen Anforderungen des deutschen Rechts. So sind etwa die Regelungen zur Mitteilung von Datenschutzverstößen in den EU Standardverträgen nur sehr vage geregelt. Werden von einem Auftragnehmer außerhalb des EWR unternehmenskritische Daten verarbeitet, sollten die Standardverträge deshalb durch zusätzliche vertragliche Regelungen ergänzt werden.

Welche Sanktionen drohen und wie wahrscheinlich sind diese?
Datenschutzbehörden können Unternehmen ohne ausreichende Verträge Bußgelder von bis zu 50.000 Euro auferlegen. Im Falle eines Datenschutzverstoßes beim Auftragnehmer können Betroffene Schadenersatzansprüche gegen den Auftraggeber geltend machen. Darüber hinaus können sich Datenschutzbeauftragte gegenüber ihrem Unternehmen haftbar machen, wenn sie es fahrlässig versäumen, die neuen Regelungen umzusetzen.

Auftragsdatenverarbeitungsverträge werden von Datenschutzbehörden normalerweise nicht ohne Anlass überprüft. Beschwert sich jedoch ein Betroffener, so werden von den Behörden Ermittlungen eingeleitet, in deren Rahmen von Unternehmen auch verlangt werden kann, die angewendeten Verträge vorzulegen. Ermittlungen können auch im Falle von Datenschutzverstößen aufgenommen werden. Da der deutsche Gesetzgeber nunmehr Meldepflichten bei bestimmten Verstößen vorgesehen hat, steigt die Wahrscheinlichkeit, dass Behörden von solchen Verstößen Kenntnis erlangen.

Welche Schritte empfehlen Sie? Wie können Sie helfen?

Kurzfristig:
>> Auftragdatenverarbeitungs-Verhältnisse erfassen, in denen Ihr Unternehmen Auftraggeber ist und anschließend anhand der folgenden Kriterien gewichten: Menge der Daten Sensibilität der Daten
Bedeutung der Daten für das Unternehmen, und
Status des Auftragsdatenverarbeiters (Konzernunternehmen, Sitz innerhalb oder außerhalb der EU, Ergebnisse früherer Kontrollen).
>> Unternehmenskritische Verträge prüfen und soweit erforderlich anpassen.

Mittelfristig:
>> Unternehmensrichtlinien, Vorlagen und Checklisten erarbeiten, die sicherstellen, dass neue Verträge gesetzeskonform sind.
>> Verfahren zur regelmäßigen Kontrolle von Datenverarbeitern einführen.
>> Altverträge schrittweise anpassen (z.B. im Rahmen von Vertragsverlängerungen).
Wir können Sie unterstützen bei der Prüfung bestehender Verträge, dem Entwurf und der Verhandlung erforderlicher Anpassungen sowie der Erarbeitung von internen Richtlinien und Checklisten.

Bitte kontaktieren Sie uns, wenn Sie weitere Informationen oder eine kostenlose Vorlage für eine Richtlinie oder Checkliste wünschen.

Autor: Dr. Thomas Helbing
Kurzvita: Dr. Thomas Helbing ist Rechtsanwalt und berät Unternehmen zu allen Fragen des Datenschutz-, IT- und Online-Rechts.
Weitere Beiträge und mehr über die Kanzlei finden Sie auf
www.thomashelbing.com.
E-Mail: helbing (at) thomashelbing.com
Telefon: (0 89) 39 29 70 07

Lesen Sie auch:
Standardvertragsklauseln und Auftragsverarbeiter

- Anzeigen -





Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>



Meldungen: Grundlagen

  • Durchsetzung von Cloud-Sicherheitsrichtlinien

    Cloud Computing-Services bieten Unternehmen heute eine kostengünstige und flexible Alternative zu teurer, lokal implementierter Hardware. Vorteile wie hohe Skalierbarkeit, Leistung und Effizienz sowie reduzierte Kosten liegen auf der Hand, sodass immer mehr Unternehmen ihre Anwendungen und Daten in die Cloud migrieren. Sensible Daten wie personenbezogene Informationen, Geschäftsgeheimnisse oder geistiges Eigentum sind jedoch neuen Risiken ausgesetzt. Denn in der Cloud gespeicherte Daten liegen außerhalb der Reichweite vieler lokaler Sicherheitsvorkehrungen. Unternehmen müssen deshalb zusätzliche Maßnahmen ergreifen, um ihre Daten in der Cloud, über den teils rudimentären Schutz der Anbieter hinaus, gegen Cyberangriffe und Datenlecks abzusichern. Allgemein sind Public-Cloud-Provider für die physische Sicherheit, globale und regionale Konnektivität sowie die Stromversorgung und Kühlung ihrer eigenen Rechenzentren zuständig. Dies ermöglicht Unternehmen eine flexible Skalierbarkeit und entlastet sie davon, eine eigene Infrastruktur wie ein Rechenzentrum oder Server-Hardware bereitzustellen. Zugleich liegt es in der Verantwortung der Unternehmen, all ihre in die Cloud migrierten Daten und Anwendung selbst auf gewünschte Weise zu schützen.

  • Redundante SaaS-Anwendungen ermittetteln

    Die Software-as-a-Service (SaaS)-Landschaft wächst und wächst. Wer bis jetzt noch nicht auf Wolken geht, plant in absehbarer Zeit himmelwärts zu wandern. Für den IT-Betrieb bringt die Cloud bei allen Vorteilen jedoch auch Herausforderungen mit. Das gilt insbesondere bei der Verwaltung von SaaS-Ausgaben. Auf den ersten Blick steht die Inventarisierung und Konsolidierung von SaaS mit Recht ganz unten auf der Prioritätenliste von IT-Abteilung. Bei den unzähligen täglichen Aufgaben und den Herausforderungen im Zuge der digitalen Transformation, wird das "Ausmisten" im IT-Haushalt gerne auf die lange Bank geschoben. Das kann sich auf lange Sicht jedoch zu einem kostspieligen Fehler auswachsen, denn die Ausgaben für die Cloud (22 Prozent) liegen mittlerweile nur noch knapp hinter den Ausgaben für On-Premise (23 Prozent). Dazu gehört auch Software-as-a-Service (SaaS), Infrastructure-as-a-Service (IaaS) und Platform-as-a-Service (PaaS). Über 80 Prozent der befragten Unternehmen planen die Ausgaben für SaaS und IaaS/PaaS im nächsten Jahr weiter zu erhöhen.

  • CLOUD Act auch für europäische Cloud-Provider?

    Nahezu zeitgleich mit der DSGVO ist der US-amerikanische CLOUD Act in Kraft getreten. In der Praxis geraten damit zwei Rechtsauffassungen unvereinbar miteinander in Konflikt. Nicht nur für Cloud-Anbieter, sondern auch für Unternehmen, die Cloud Computing-Anwendungen nutzen, könnte dies rechtliche Schwierigkeiten mit sich bringen. Anliegen des "Clarifying Lawful Overseas Use of Data" (CLOUD) Act ist es, die US-amerikanische Strafverfolgung zu erleichtern, indem der Zugriff auf im Ausland gespeicherte Kommunikationsdaten von Verdächtigen vereinfacht wird. Was bislang im Rahmen von Rechtshilfeabkommen zwischen den Regierungsbehörden verschiedener Länder im Laufe mehrerer Monate abgewickelt wurde, soll nun schneller möglich sein.

  • Cloud-Repatriation eine Realität

    Unternehmen nutzen vermehrt die Hybrid Cloud um Daten und Anwendungen in alle Umgebungen verschieben zu können. Dies macht das Zurückholen von Daten und Anwendungen ins eigene Rechenzentrum offiziell zu einem Trend. Noch vor wenigen Jahren glaubten wir, dass die Public Cloud die Zukunft der IT ist und früher oder später, physische Rechenzentren ersetzen würde. Tatsächlich ist der Trend Daten und Workloads in Public Clouds zu migrieren seit langem ungebrochen stark und es ist kein Ende dieser Entwicklung auszumachen. Doch trotz dieses generell anhaltenden Trends in Richtung Public Cloud ist Cloud-Repatriation, also die entgegengesetzte Entscheidung, Daten und Workloads zurück nach Hause ins eigene Rechenzentrum zu holen, in letzter Zeit zur Realität geworden. Was treibt diese Entwicklung an?

  • So hilft die KI bei der Datenanalyse

    Die Elektromobilität wird dazu führen, dass Fahrzeuge und Infrastrukturen riesige Datenströme generieren. In dieser Daten-Goldgrube verstecken sich viele Hinweise darauf, wie Unternehmen ihre Angebote und Produkte verbessern, aber auch die Kundenzufriedenheit steigern können. Wer den Datenschatz heben möchte, benötigt eine übergreifende Datenplattform und KI-Lösungen mit Maschine Learning-Komponenten. In den Medien generiert das Thema Elektromobilität derzeit interessante Schlagzeilen. Daimler kündigte an, ab 2021 mit der Produktion von autonom fahrenden Taxis zu starten. Auch Volkswagen steht unter Strom, denn die Wolfsburger wollen in den kommenden zehn Jahren 70 neue vollelektrische Elektrofahrzeuge entwickeln. Dazu meldet nun auch Lidl, dass der Lebensmitteldiscounter auf seinen Parkplätzen künftig Ladestationen für Elektrofahrzeuge installieren wird, wie es schon andere Handelsketten, beispielsweise Aldi, Rewe und Ikea, vormachen. Und im nächsten James Bond-Film wird der Superagent vermutlich mit einem Elektrofahrzeug von Aston Martin auf Gangsterjagd gehen.

  • Funktionierende DevOps-Kultur zu etablieren

    DevOps mit grundlegender IT-Modernisierung verbinden: Weitreichende Veränderungen wie die digitale Transformation oder neue Regularien wie die DSGVO wurden von vielen Unternehmen zum Anlass genommen, die eigene IT-Architektur von Grund auf zu überdenken. Die Ziele dabei waren und sind im Prinzip immer eine flexiblere IT, die schnell auf sich ändernde Umstände reagieren kann - eine der Kernkompetenzen von DevOps. Es ist also überaus sinnvoll, DevOps als eine der zentralen Säulen der neuen IT zu etablieren und sich dadurch kürzere Softwareentwicklungs- und Bereitstellungszyklen zu sichern.

  • Cloud-Big Data-Projekte: Exponentielles Wachstum

    Für IT-Verantwortliche wird es immer wichtiger, mit der Cloud den Einsatz innovativer Technologien zu unterstützen. Cloud Cpmputing-Services für Machine Learning, Künstliche Intelligenz, Blockchain oder Serverless Computing sind heute mit wenigen Mausklicks abrufbar. Damit beschleunigt sich die Umsetzung neuer Geschäftsmodelle ebenso wie die Produktentwicklung. Warum ein organisationsweites Datenmanagement für den Cloud-Erfolg wichtig ist, zeigt der folgende Beitrag. In der Studie "Multi-Cloud in deutschen Unternehmen" berichten die Analysten von IDC, dass 68 Prozent der Unternehmen bereits Cloud Computing-Services und -Technologien für mehrere Workloads verwenden.

  • Multiple Clouds nicht gleich Multi-Cloud

    Multi-Cloud ist derzeit einer der heißesten Trends für Unternehmen. Die Verwendung mehrerer Clouds gleichzeitig, kann viele Vorteile bieten. Richtig eingesetzt kann man mit der richtigen Kombination von Clouds unter anderem die Kosten für Infrastruktur senken, die Präsenz von Daten und Workloads in verschiedenen Regionen verbessern oder die Herstellerbindung an Cloud Computing-Anbieter vermeiden. Unternehmen, die den Ansatz Multi-Cloud hingegen falsch verstanden haben, kann dieses Missverständnis viel Geld kosten. Denn eine fehlgeleitete Multi-Cloud-Strategie hat das Potenzial, Anwendungen, Teams und Budgets unnötig aufzusplitten.

  • So gelingt der Umzug in die Cloud

    Geblendet von den zahlreichen Vorteilen, wollen viele Unternehmen zumindest Teile ihrer IT in die Cloud migrieren. Der Wunsch dies so schnell wie möglich zu tun ist verständlich, aber in den meisten Fällen völlig unrealistisch. Entscheidungsträger sollten neben den offensichtlichen Vorteilen auch die Zeit in Betracht ziehen, die nötig ist diese zu erreichen. Hierbei kann das Konzept Time To Value (TTV) helfen den richtigen Zeitpunkt für den Umzug zu ermitteln. Die Vorteile Cloud Computing-Technologien zu nutzen sind mittlerweile gut dokumentiert. Einer der wichtigsten ist die mit ihr verbundene Flexibilität, die es erlaubt nur für die Leistung zu bezahlen, die auch gebraucht wird. Die Entscheidung pro Cloud scheint somit auf der Hand zu liegen. Doch der Teufel steckt bekanntlich im Detail und trotz des Willens vieler Organisationen, mehr auf die Cloud zu setzen, ist ein Umzug über Nacht einfach nicht möglich sondern muss von langer Hand geplant sein.

  • Bedarf an schnellem Service-Management

    "Die Fabrik der Zukunft wird nur noch zwei Mitarbeiter haben, einen Mann und einen Hund. Der Mann ist da, um den Hund zu füttern und der Hund, um den Mann davon abzuhalten, Geräte zu berühren." Wie weit wir aktuell noch von dieser im Jahr 1990 geäußerten Vision von Warren Bennis entfernt sind, wird immer wieder versucht vorherzusagen. Schon den jetzigen technologischen Stand vor fünf Jahren präzise vorauszusehen, wäre aber nahezu unmöglich gewesen. In Bezug auf IT-Service Management (ITSM) zeichnet sich meiner Ansicht nach bereits ab, was kurz- und mittelfristig auf Unternehmen zukommen wird. Zum Beispiel werden neue Technologien wie Künstliche Intelligenz und Machine Learning noch stärker in den Mittelpunkt rücken, während eine ansprechende Benutzererfahrung und die Minimierung der Total Cost of Ownership weiterhin wichtig bleiben werden. Folgende fünf Themen sollten IT-Verantwortliche im Auge behalten und prüfen, ob ihre Service Management-Infrastruktur dafür gewappnet ist.